Как проверить ссылку Steam и не попасть на фишинг
Фишинговая страница копирует Steam до пикселя — по внешнему виду отличить её невозможно, и не надо пытаться. Отличить можно по одному месту: по адресу. Разберём, как его читать, потому что здесь есть неочевидная механика.
Как читать домен справа налево, какие адреса Steam настоящие, чем поддельное окно входа отличается от настоящего и почему замок в браузере ничего не гарантирует.
Домен читается справа налево
Это главный приём, который экономит аккаунты. Настоящий домен — это последние две части адреса перед первым слэшем, и читать их нужно с конца.
Пример: steamcommunity.com.login-verify.ru/market — выглядит убедительно, потому что начинается со steamcommunity.com. Но читаем справа: домен здесь login-verify.ru, а steamcommunity.com — просто поддомен, который может назвать кто угодно как угодно.
Другой приём — подмена символов: замена латинской буквы на похожую из другого алфавита, лишний дефис, i вместо l, цифра вместо буквы. На беглый взгляд не заметно совсем.
Настоящие домены Steam: steamcommunity.com, store.steampowered.com, help.steampowered.com, steampowered.com. Всё остальное — не Steam, каким бы похожим ни выглядело.
Поддельное окно входа
Самая опасная разновидность: окно авторизации Steam нарисовано прямо внутри страницы. У него есть заголовок, кнопки и адресная строка с зелёным замком — и всё это картинка.
Проверка занимает секунду: попробуй перетащить это окно мышкой за границу вкладки браузера. Настоящее отдельное окно уедет за край экрана, нарисованное упрётся в границу страницы.
Вторая проверка: разверни окно на весь экран. Настоящее развернётся как окно операционной системы, поддельное останется куском веб-страницы.
- Заходи на площадки только из своих закладок, а не по ссылкам из чата.
- Сокращённые ссылки не открывай вовсе — они специально скрывают адрес.
- Если ты уже вошёл в Steam, а сайт снова просит логин и пароль — это не Steam.
Почему замок ничего не значит
Значок замка в браузере говорит только одно: соединение зашифровано. Он не говорит, что сайт настоящий.
Сертификат для шифрования сегодня получают бесплатно и за пару минут на любой домен, включая мошеннический. Замок есть у всех, в том числе у фишинга.
То же самое с внешним видом: дизайн копируется целиком, вплоть до анимаций. Единственная надёжная проверка — адрес.
Отдельно про QR-коды
Steam умеет входить по QR-коду: сканируешь мобильным приложением — авторизуешься на компьютере. Мошенники разворачивают это в обратную сторону.
Тебе показывают чужой QR под любым предлогом: подтвердить участие, пройти проверку, получить награду. Сканируешь — и логинишь чужого человека на своём аккаунте.
Правило простое: сканируй QR только тогда, когда ты сам открыл экран входа на своём компьютере и видишь код именно там. Чужой QR не сканируется никогда.
Если данные уже введены
Действуй немедленно и с чистого устройства. Смени пароль почты, привязанной к Steam, потом пароль самого Steam, заверши все активные сессии в настройках безопасности.
Проверь Steam Web API key на steamcommunity.com/dev/apikey и отзови его, если там что-то есть. Просмотри историю обменов и активные предложения.
Проверь компьютер антивирусом — фишинговая страница часто идёт в комплекте с предложением что-нибудь скачать.
Частые вопросы
Как проверить, настоящий ли сайт Steam?
Прочитать домен справа налево: настоящие — steamcommunity.com, store.steampowered.com, help.steampowered.com. Всё, что идёт до них как поддомен, ничего не значит.
Означает ли замок в браузере, что сайт безопасен?
Нет. Замок подтверждает только шифрование соединения. Сертификат бесплатно получает и мошеннический сайт.
Как отличить поддельное окно входа Steam?
Попробовать перетащить его за границу вкладки браузера. Настоящее окно уедет, нарисованное внутри страницы — нет.
Безопасно ли сканировать QR-код для входа?
Только если ты сам открыл экран входа на своём компьютере и видишь код там. Чужой QR-код логинит мошенника на твоём аккаунте.
Что делать, если я ввёл пароль на поддельном сайте?
С чистого устройства сменить пароль почты, затем пароль Steam, завершить все сессии, отозвать API-ключ и проверить компьютер антивирусом.
Правила и ограничения могут меняться. Проверяйте их перед действием на официальном сайте.
Официальная поддержка Steam
Как отличить настоящего бота площадки от подделки
Как на самом деле работают торговые боты, что проверять в пришедшем предложении и почему уровень аккаунта, дата регистрации и комментарии ничего не доказывают.
Читать статью
Как не попасть на скам в Steam: разбор шести реальных схем
API-скам, подмена обмена, фейковый бот площадки, поддельное окно входа Steam. Как каждая схема выглядит изнутри, что проверять до подтверждения и что делать, если уже отправил.
Читать статью